Όταν οι περισσότεροι άνθρωποι φαντάζονται μια επίθεση ransomware, φαντάζονται κλειδωμένες οθόνες και κρυπτογραφημένα αρχεία. Με το Medusa, αυτή η εικόνα είναι ελλιπής. Ρεπορτάζ για την ομάδα, η οποία έχει πλέον πλήξει περισσότερα από 500 θύματα, υποδεικνύει ένα μοτίβο που έχει πολύ μεγαλύτερη σημασία για τους απλούς ανθρώπους: η κλοπή δεδομένων από το Medusa ransomware πριν την κρυπτογράφηση σημαίνει ότι η ζημιά μπορεί να γίνει προτού κανείς αντιληφθεί κάποιο πρόβλημα.

Αυτό το άρθρο εξηγεί πώς λειτουργεί αυτή η αλληλουχία, γιατί εκθέτει άτομα καθώς και οργανισμούς, και τι μπορείτε να κάνετε γι' αυτό. Βασίζεται στη σύνοψη του άρθρου πηγής και στην προηγούμενη κάλυψή μας για την ομάδα.

Πώς το Medusa κλέβει δεδομένα πριν τα κρυπτογραφήσει

Το Medusa λειτουργεί μέσω συνεργατών (affiliates), και το άρθρο πηγής περιγράφει ότι εκμεταλλεύονται εκτεθειμένα συστήματα για να εισέλθουν. Αυτό σημαίνει ότι οι υπηρεσίες που είναι εκτεθειμένες στο διαδίκτυο και το λογισμικό χωρίς ενημερώσεις ασφαλείας είναι η τυπική δίοδος εισόδου, όχι κάποιο εξελιγμένο τέχνασμα που στοχεύει έναν μεμονωμένο υπάλληλο.

Μόλις μπουν μέσα, οι συνεργάτες παίρνουν πρώτα τα δεδομένα και κρυπτογραφούν μετά. Η κλοπή γίνεται αθόρυβα, συχνά ενώ τα συστήματα φαίνεται ακόμη να λειτουργούν κανονικά. Η κρυπτογράφηση έρχεται αργότερα, και είναι το ορατό γεγονός που τελικά ειδοποιεί το θύμα. Μέχρι τότε, αντίγραφα ευαίσθητων αρχείων μπορεί να βρίσκονται ήδη εκτός του δικτύου.

Αυτή η σειρά εξηγεί γιατί το άρθρο πηγής υποστηρίζει μια στρατηγική με προτεραιότητα στην πρόληψη. Αν οι αμυνόμενοι αντιδρούν μόνο όταν κλειδωθούν τα αρχεία, το πιο καταστροφικό βήμα έχει ήδη συντελεστεί. Το να εμποδίζετε τα δεδομένα να φεύγουν από το δίκτυο, και να κλείνετε τις εκτεθειμένες δίοδους εισόδου, έχει μεγαλύτερη σημασία από την επαναφορά από αντίγραφα ασφαλείας μόνο.

Γιατί το μοντέλο διπλού εκβιασμού εκθέτει απλούς ανθρώπους

Επειδή τα δεδομένα κλέβονται πριν την κρυπτογράφηση, τα θύματα αντιμετωπίζουν δύο ξεχωριστές απειλές. Η μία είναι η απώλεια πρόσβασης στα συστήματά τους. Η άλλη είναι η δημοσίευση ή πώληση των κλεμμένων πληροφοριών αν αρνηθούν να πληρώσουν. Η επαναφορά από αντίγραφα ασφαλείας λύνει το πρώτο πρόβλημα αλλά δεν κάνει τίποτα για το δεύτερο.

Εδώ μπαίνουν οι ιδιώτες. Οι οργανισμοί τηρούν αρχεία για πελάτες, ασθενείς, υπαλλήλους και φοιτητές. Όταν ένας συνεργάτης αντιγράφει αυτά τα αρχεία, τα άτομα που αναφέρονται σε αυτά εκτίθενται, ακόμη κι αν ποτέ δεν είχαν λόγο στον τρόπο με τον οποίο ο οργανισμός ασφάλισε τα συστήματά του. Η πληρωμή ή μη των λύτρων δεν αναιρεί την αντιγραφή.

Η κάλυψη της ομοσπονδιακής ενημέρωσης που έχουμε δημοσιεύσει δείχνει πώς αυτό εκτυλίσσεται σε τομείς που τηρούν ευαίσθητα αρχεία. Η αναφορά μας για το πώς οι ομοσπονδιακές υπηρεσίες ενημέρωσαν την καθοδήγησή τους για το Medusa στον τομέα της υγείας περιγράφει πώς λειτουργεί η ομάδα, συμπεριλαμβανομένης της προσέγγισής της στα λύτρα. Τα δεδομένα υγείας είναι ιδιαίτερα προσωπικά, οπότε ένα κλεμμένο αρχείο εκεί μπορεί να έχει μακροχρόνιες συνέπειες για τα άτομα που περιέχονται σε αυτό.

Τι αποκαλύπτουν τα 500+ θύματα του Medusa για την απειλή

Το κύριο νούμερο είναι η κλίμακα. Το προηγούμενο άρθρο μας για τους 500+ οργανισμούς που έχει παραβιάσει το Medusa καλύπτει την κοινή προειδοποίηση από τη CISA, το FBI και το HHS. Ένας αριθμός τόσο υψηλός δείχνει ότι πρόκειται για μια διαρκή, επαναλαμβανόμενη επιχείρηση και όχι για μια μεμονωμένη εκστρατεία.

Μερικά συμπεράσματα προκύπτουν από αυτή την κλίμακα:

  • Το μοντέλο λειτουργεί σε όλους τους τομείς. Οι συνεργάτες βασίζονται σε κοινές αδυναμίες όπως τα εκτεθειμένα συστήματα, οπότε τα θύματα ποικίλλουν ευρέως σε μέγεθος και κλάδο.
  • Η άρνηση πληρωμής δεν είναι πλήρης άμυνα. Ο Ελβετός κατασκευαστής Stadler Rail απέρριψε αίτημα λύτρων 12,3 εκατ. δολαρίων από το Medusa, γεγονός που δείχνει ότι κάποια θύματα επιλέγουν να μην πληρώσουν. Αλλά η άρνηση πληρωμής δεν αντιστρέφει οποιαδήποτε κλοπή δεδομένων έχει ήδη συμβεί.
  • Η τιμολόγηση είναι υπολογισμένη. Όπως σημειώσαμε όταν καλύψαμε το πώς το Medusa συνδέει τα αιτήματα λύτρων με τα έσοδά σας, η ομάδα προσαρμόζει τα αιτήματά της αντί να χρησιμοποιεί σταθερό ποσό.

Συνολικά, η εικόνα είναι μιας ομάδας που αντιμετωπίζει τα κλεμμένα δεδομένα ως μοχλό πίεσης, και τα θύματα ως πελάτες προς τιμολόγηση.

Πρακτικά βήματα για να μειώσετε την έκθεσή σας

Δεν μπορείτε να ενημερώσετε τους διακομιστές ενός άλλου οργανισμού, αλλά μπορείτε να περιορίσετε τι θα αποκάλυπτε μια διαρροή και πόσο μακριά θα μπορούσε να εξαπλωθεί.

  • Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης και έναν διαχειριστή κωδικών. Αν μια παραβίαση εκθέσει διαπιστευτήρια, οι μοναδικοί κωδικοί εμποδίζουν μια διαρροή από το να ξεκλειδώσει άλλους λογαριασμούς.
  • Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων. Προτιμήστε μεθόδους μέσω εφαρμογής ή υλικού αντί για SMS όπου είναι διαθέσιμο.
  • Μοιραστείτε λιγότερα. Δίνετε στους οργανισμούς μόνο τα προσωπικά στοιχεία που πραγματικά χρειάζονται. Δεδομένα που δεν συλλέχθηκαν ποτέ δεν μπορούν να κλαπούν.
  • Προσέξτε για επακόλουθη απάτη. Τα κλεμμένα αρχεία συχνά τροφοδοτούν phishing. Αντιμετωπίστε με καχυποψία απρόσμενα μηνύματα που αναφέρουν πραγματικά προσωπικά στοιχεία.
  • Εξετάστε το ενδεχόμενο «παγώματος» πίστωσης. Αν ευαίσθητοι αναγνωριστικοί κωδικοί μπορεί να εκτεθούν, ένα πάγωμα καθιστά δυσκολότερο το άνοιγμα λογαριασμών στο όνομά σας.
  • Διατηρείτε τις δικές σας συσκευές ενημερωμένες. Η ίδια πειθαρχία που συνιστούν οι αμυνόμενοι στους οργανισμούς, η άμεση ενημέρωση, ισχύει και στο σπίτι.

Ένα VPN μπορεί να προστατεύσει την κίνηση σας σε μη αξιόπιστα δίκτυα, αλλά δεν προστατεύει δεδομένα που βρίσκονται ήδη στους διακομιστές κάποιου άλλου. Αντιμετωπίστε το ως ένα επίπεδο, όχι ως λύση για αυτή την απειλή.

Τι Σημαίνει Αυτό Για Εσάς

Το βασικό δίδαγμα είναι ότι το σημείωμα λύτρων δεν είναι η αρχή της ζημιάς. Μέχρι να εμφανιστεί, οι πληροφορίες σας μπορεί να έχουν ήδη αντιγραφεί. Αυτό μετατοπίζει το ερώτημα από το «θα πληρώσει ο οργανισμός;» στο «τι θα εκτεθεί αν δεν πληρώσει;». Υποθέστε ότι οποιοσδήποτε οργανισμός τηρεί τα δεδομένα σας θα μπορούσε να παραβιαστεί, και περιορίστε την έκθεσή σας αναλόγως.

Για άτομα που διοικούν ή εργάζονται σε μικρούς οργανισμούς, το μήνυμα του άρθρου πηγής για προτεραιότητα στην πρόληψη ισχύει άμεσα: μειώστε τα εκτεθειμένα συστήματα, ενημερώνετε άμεσα, και προσέχετε για δεδομένα που φεύγουν από το δίκτυό σας, όχι μόνο για αρχεία που κλειδώνονται.

Βασικά Συμπεράσματα και επόμενα βήματα

Η κλοπή δεδομένων από το Medusa ransomware πριν την κρυπτογράφηση είναι ο βασικός λόγος που ο αριθμός των 500+ θυμάτων αυτής της ομάδας έχει σημασία για όλους, όχι μόνο για τις ομάδες IT. Για να δείτε πώς λειτουργεί η ομάδα και τι συνιστούν οι υπηρεσίες, διαβάστε την κάλυψή μας για τους 500+ οργανισμούς που παραβιάστηκαν και την ενημερωμένη καθοδήγηση για τον τομέα της υγείας. Στη συνέχεια αφιερώστε δέκα λεπτά για να ελέγξετε τους δικούς σας λογαριασμούς: αλλάξτε κωδικούς που επαναχρησιμοποιείτε, ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων, και σκεφτείτε ποια προσωπικά δεδομένα θα μπορούσατε να σταματήσετε να μοιράζεστε.